先说三句：第一，人脸打卡采的是高度敏感的生物信息，加拿大监管的默认要求是明示、知情、可证明的同意，入职时一纸笼统授权通常不够。第二，光有同意还不够，雇主还要证明这套系统确有必要、侵入最小，并且给不适用人脸的员工留了替代办法。第三，你不必当场硬顶，先书面问清五个问题、留好证据，再决定签不签、怎么签，魁北克员工还多一层监管申报保护。
最近不少办公室、仓库、连锁门店把门禁和考勤换成了“刷脸”。对员工来说，问题很现实：不刷脸是不是就进不了门、算不算旷工？签了同意书以后还能不能反悔？脸部数据存在哪里、会不会被拿去做别的用途？这篇文章把加拿大生物信息收集的同意规则拆成3个要件讲清楚，帮你对照自家公司的那份通知，逐项打钩。本文仅为信息整理，不构成法律意见，具体个案以官网和专业法律建议为准。
1. 人脸打卡到底采了什么：照片、模板还是身份
人脸打卡通常分两步：摄像头拍下你的脸部图像，再由算法提取成一串数字特征，也就是生物特征模板（biometric template），以后每次比对用的就是模板，而不是每次都翻出原始照片。监管机构看重的是，这两样都属于个人信息，而且生物信息被归为高度敏感的一类：脸改不了、丢了换不了，一旦泄露，影响是长期的。哪怕系统号称“只比对、不存照片”，只要生成并保存了模板，就已经是收集和使用生物信息，不能用“没存照片”来否定。反过来，普通监控摄像头拍到路过的人，和专门用来识别身份的人脸系统，法律评价也不一样：前者重在安防记录，后者直接指向“你是谁”，审查更严。拿到公司通知时，先看它写的是“拍照记录”还是“面部识别/生物识别”，措辞不同，义务也不同。
2. 要件一：明示、知情、可证明的同意
这是第一个要件，也是最容易被糊弄的一环。加拿大联邦隐私专员办公室（OPC）在2025年8月11日发布的生物信息指引里明确：生物信息高度敏感，原则上需要明示同意（express consent），而不是默认勾选、继续使用就算同意。什么叫有效的同意？可以拆成四条：一是事前告知，在收集之前就告诉你，而不是刷完脸再补通知；二是内容具体，讲清采什么（图像还是模板）、为什么采、存多久、谁能看到、有没有外包商；三是自愿真实，不能以“不签就丢工作”相威胁，也不能把同意藏在几十页入职文件里一并签掉；四是可证明，雇主应当留存你同意的记录，口头说“大家都同意了”不算数。对员工来说，实用的检验方法是：把通知书遮住公司名，看它能不能回答“采什么、干什么、存多久、给谁看、错了找谁”这五个问题，答不上来，同意的质量就存疑。还要注意，同意不是一劳永逸的：如果公司后来把打卡数据拿去做情绪分析、考勤之外的绩效评估，或者换了供应商、改了存储地，那就超出了原来同意的范围，需要重新告知并重新取得同意。
3. 要件二：必要、有效、侵入最小
第二个要件常被忽略：即使你签了字，雇主的收集本身还要过“必要性和比例性”这一关。OPC的指引要求，生物信息的用途必须是合法、有效、侵入最小且与隐私影响成比例的。翻译成打卡场景，就是三个追问：第一，有没有更轻的办法？门禁卡、密码、工牌加人工核验能不能达到同样的考勤和安全目的？如果能，人脸就不是必要选项。第二，系统是不是“刚刚好”？只做一对一验证（你的脸只和你自己的模板比）比一对多识别（在全公司人脸库里搜你是谁）侵入小得多；只在打卡点采集，比全楼无死角追踪侵入小得多。第三，有没有做过评估？OPC建议组织在上线前做生物隐私影响评估（Biometric Privacy Impact Assessment，简称B-PIA），论证必要性、比较替代方案、记录风险和缓解措施。员工可以理直气壮地问一句：“贵公司做过隐私影响评估吗？结论能不能摘要告知？”问不出来，不代表系统一定违法，但说明雇主的合规准备可能不到位。特别要警惕“顺带收集”：打卡系统附带测体温、测情绪、记录进出轨迹，这些超出打卡目的的功能，都需要单独的正当理由。
4. 要件三：透明、可查、可退出、有替代办法
第三个要件是全过程的透明和可控。透明不只是贴一张“本区域使用人脸识别”的告示，而是要让员工在事前就能看到完整的隐私通知，知道数据存在哪里、保留多久、离职后怎么删除。OPC指引还强调：如果生物识别不是提供服务的必需环节，应当提供替代办法。对打卡来说，这意味着：因宗教、医疗、残疾或其他原因无法或不愿刷脸的员工，应当有工牌、密码等同等可用的替代通道，而且用替代办法不能被变相惩罚，比如故意排长队、扣考勤、影响排班。可查是指你有权问自己的数据：公司存了我的模板吗？什么时候删？有没有给第三方？在有省级隐私法的省份和联邦监管的工作场所，员工的查询和更正权利有法律支撑，具体程序看各省规定。可退出是指在同意可以撤回的情形下，撤回之后公司应当停止新的收集并按约定处理已有数据，但要注意：已经基于先前同意合法完成的处理，不一定能全部抹掉，撤回的效力要看当时的通知怎么写。把这三点写进你的问题清单，谈判时就有了抓手。
5. 联邦和各省规则怎么分：先看你在哪里上班
加拿大没有一部统一的“人脸识别法”，规则是联邦加各省拼起来的。联邦《个人信息保护与电子文件法》（PIPEDA）主要管联邦监管行业（银行、电信、跨省运输等）的员工信息，以及各省没有同等隐私法时的商业活动；安大略等没有全面省级私营部门隐私法的省份，私营雇主的员工信息很大程度上仍要看PIPEDA、劳工法和判例。阿尔伯塔省、BC省、魁北克省有自己的全面私营部门隐私法，对省内雇主的员工信息有更直接的约束，BC省和阿尔伯塔省的隐私法对员工个人信息有专门的通知和同意规则。实务要点是：先确认雇主属于联邦监管还是省监管，再看工作地点在哪个省，两者叠加才是适用于你的规则。不要拿安省的经验直接套魁北克，也不要拿联邦指引当成全国统一的罚款标准。跨省连锁企业应当按最严的地方合规，但员工维权时，仍要按自己所在省的投诉渠道走。
6. 魁北克为什么最严：明示同意加监管申报
魁北克是全加拿大对生物信息最严的省份，值得单独讲。魁北克《私营部门个人信息保护法》（经第25号法案修订）把生物信息列为敏感信息，收集必须有严肃合法的理由且只限于必要范围。魁北克信息获取委员会（Commission d’accès à l’information，简称CAI）对生物识别有一套独特的申报制度：组织在以识别为目的使用生物系统之前，必须向CAI申报；创建生物数据库，须至少提前60天向CAI申报。更重要的是，CAI有一套两步必要性测试：第一，收集目的是否合法、重要且真实；第二，对隐私的侵入是否与目的成比例、是否已尽量减小。2024年9月，CAI在一家印刷公司的案件中认定，即使雇主取得了员工同意并做了申报，以门禁为由收集员工面部数据仍未通过测试，因为雇主没能证明该目的“真实且重要”，且对隐私的侵入未充分减小，最终被命令停止收集并销毁已收集的数据。这个案例给员工的启示是：在魁北克，“签了字”不等于“合法”，监管机构可以事后审查必要性。魁北克的行政罚款额度较高，生物信息方面的行政罚款可达1000万加元或全球营业额的2%（以较高者为准，个别来源对第25号法案一般罚款的表述不同，具体罚则以官网为准）。
7. 费用、时间线与关键数字单列
| 项目 | 关键数字与说明 |
| OPC生物信息指引发布 | 2025年8月11日，联邦层面关于生物信息收集、使用和披露的最新指引 |
| 魁北克申报时限 | 创建生物数据库至少提前60天向CAI申报；识别用途系统使用前也须申报 |
| 魁北克生物信息行政罚款 | 可达1000万加元或全球营业额的2%，以较高者为准（具体罚则以官网为准） |
| 员工向公司索要信息的时间 | 没有全国统一天数；按各省隐私法和公司通知的程序走，书面提问并留存日期 |
| 员工维权成本 | 向隐私专员投诉本身通常不收费；请律师咨询、仲裁或诉讼则按个案收费，费用以律所报价为准 |
| 数据保留期 | 没有统一数字；只应保留到实现打卡目的所必需的时间，离职后模板应按通知约定删除 |
提醒一句：上表里凡是写了具体数字的，都是本次核验过的公开来源数字；没有统一数字的地方，本文不编数字，写明“以官网为准”或“按通知约定”。
8. 常见坑与红线：这6条最容易踩中
- 把同意藏进整套入职文件里一并签署，员工根本不知道自己签的是人脸采集。
- 只说“为了安全”，不说采什么、存多久、给谁看，事后又把数据挪作绩效、情绪分析等新用途。
- 没有替代通道：不刷脸就进不了门、打不上卡，还被记迟到或影响排班。
- 供应商黑箱：数据存在境外服务器或外包商手里，员工问起来公司自己也说不清。
- 离职不删：员工走了，面部模板还留在系统里，甚至被沿用到新系统。
- 误识不担责：系统认错人、把A记成B，员工要自证清白，公司却没有人工复核和纠错流程。
9. 新手checklist：签之前逐项打钩
- ☐ 通知是否在收集前给到我，是否写明采图像还是模板、用途、保留期、接收方？
- ☐ 同意是否是单独、明示、可撤回的，而不是入职大包文件里的一行？
- ☐ 有没有工牌、密码等替代打卡方式，用替代方式会不会被区别对待？
- ☐ 公司是否做过隐私影响评估，评估结论能否摘要告知？
- ☐ 数据存在哪里、有无外包商和跨境传输，出事找谁负责？
- ☐ 离职、调岗、撤回同意后，模板何时删除、由谁确认？
- ☐ 误识、系统故障时的人工复核和申诉渠道是什么？
- ☐ 魁北克员工：公司是否已向CAI申报，申报时间是否符合至少提前60天的要求？
10. 被要求人脸打卡时，第1步到第5步这样做
第1步：先别急着签字，索取完整的书面隐私通知和同意书文本，拍照或保存一份。第2步：按上面的checklist书面提问（用邮件，别只口头问），要求公司书面回复替代办法、保留期和删除安排。第3步：如果公司拒绝提供替代办法或含糊其辞，向工会代表（如有）或人力资源部门正式反映并留存记录。第4步：仍无解决时，按所在省向对应的隐私监管机构咨询或投诉：联邦监管工作场所找OPC，魁北克找CAI，BC省和阿尔伯塔省找本省信息与隐私专员。第5步：涉及解雇、扣薪、纪律处分等实质不利后果时，尽快咨询就业律师，保留排班表、考勤记录和沟通邮件，时效问题不要拖。整个过程中，不要擅自破坏设备、不要用他人面部代打卡，这些行为本身可能构成违纪，反而削弱你的立场。
11. 特殊人群：宗教、医疗与残疾员工怎么办
因宗教原因不愿露脸留影、因医疗或残疾原因无法完成刷脸动作的员工，处境需要特别对待。人权法上的 accommodation（合理便利）原则要求雇主在不造成过度困难的前提下，考虑替代安排，而不是一句“系统就是这样”打发。实务中，你可以书面说明自己的具体困难（不必详述全部病情，讲清功能限制即可），并提出可行的替代方案，比如工牌加人工核验。雇主应当与你协商，而不是直接把你排除在考勤系统之外或记为缺勤。如果协商破裂，人权投诉是另一条独立渠道，与隐私投诉可以并行考虑，具体适用看各省人权法。保留好你提出便利请求的书面记录，这在后续任何程序里都很关键。
12. 给雇主的一句话：合规不是一张同意书
这篇文章是写给员工的，但结论对雇主同样适用：合规不是准备一张同意书就过关，而是“同意加必要性加透明”三件套齐全。没有做隐私影响评估、没有替代通道、说不清数据去向的系统，即使员工签了字，也可能在监管审查中被认定为不必要或不合比例。把评估摘要、保留期、删除流程写清楚，既是保护员工，也是保护公司自己。
常见问题 FAQ
问：公司说“不刷脸就不能上班”，我必须签吗？
答：先看通知和替代办法。真正的自愿同意不能以丢工作相威胁；如果公司完全不提供替代通道，你可以书面要求说明理由并咨询工会或隐私监管机构，不要仅凭口头威胁就签字。
问：签了同意书以后还能反悔吗？
答：在同意可以撤回的情形下可以撤回，撤回后公司应停止新的收集并按通知处理已有数据；但撤回前已合法完成的处理不一定全部抹掉，具体看通知条款和各省规定。
问：系统说只比对、不存照片，是不是就没风险？
答：不是。生成的面部模板本身就是高度敏感的生物信息，模板泄露同样难以挽回，评估时要把模板的存储、加密和删除问清楚。
问：离职后我的脸部数据会自动删除吗？
答：不一定自动删除。要看通知里写的保留期和删除安排，离职时最好书面要求公司确认删除时间并留存回复。
问：刷脸认错人、考勤记错了怎么办？
答：立即书面指出错误并要求人工复核、更正考勤记录，保留当天的进出证明（如门禁记录、同事证明）；公司应当有纠错流程，不能要求员工自证清白后仍不更正。
相关阅读
官方来源：Office of the Privacy Commissioner of Canada (OPC) Guidance on Biometric Information、Commission d’accès à l’information du Québec (CAI)、Canada.ca (PIPEDA)。核验于 2026年10月25日。
关键政策以 IRCC / CRA / 各省官网为准。本文仅供信息参考，不构成法律/移民/医疗/投资建议。
📱 更多加拿大生活干货，欢迎加微信交流：UUUMGT
